¿Sabes qué datos personales maneja tu empresa? El RAT te ayuda a responder

Piensa en quienes tienen contacto con tu empresa: postulantes, trabajadores, clientes, proveedores y visitas que se anotan en recepción. Cada persona deja datos en algún sistema, planilla o correo. Si mañana te preguntaran qué datos tienen, para qué los usan y cuándo los borran, ¿podrían responder sin dar muchas vueltas? El Registro de Actividades de Tratamiento (RAT) ayuda a responder esas preguntas.

Qué es el RAT y cuál es su origen.

El Registro de Actividades de Tratamiento (RAT) es un inventario interno de lo que la empresa hace con los datos personales que almacena para su uso. Se ordena por procesos (ejemplo: “selección”, “remuneraciones”, “control de asistencia”, “legal” o “ventas”), y en cada uno describe qué datos personales se usan, de quién son, para qué, con quién se comparten y por cuánto tiempo se guardan.

La idea viene de Europa. El Reglamento General de Protección de Datos (o GDPR por sus siglas en inglés), que entró en vigencia el año 2018 en toda la unión europea, cambió la antigua notificación de tratamientos a la autoridad por este registro interno, que exige su artículo 30. Chile tomó un camino algo distinto: la Ley N° 21.719, que reformó la Ley N° 19.628, no impone con esas palabras un RAT a todas las empresas. El Decreto N° 662, del Ministerio de Hacienda Chileno, publicado en septiembre de 2026, lo reconoce (artículo 3, letra d.XI y letra e), como una forma de describir los tratamientos dentro de un modelo de prevención de infracciones, acto que si bien se recomienda a las empresas, es voluntario en el caso chileno.

Sin perjuicio de lo anterior, sin RAT, cuesta imaginar cómo identificar debidamente las actividades de tratamiento, con qué finalidad y bajo qué base legal, como pide el artículo 14 ter de la Ley 19628, modificada por la Ley 21.719, sin haber hecho antes este inventario.

Cómo elaborar el Registro de Actividades de Tratamiento

• Define quién lo lidera. Una persona coordina el trabajo y cada área nombra a su contraparte.

• Conversa con quienes hacen el trabajo. Recorre área por área y revisa sistemas, planillas y carpetas compartidas. Ahí suelen aparecer los datos que nadie recordaba.

• Completa una ficha por proceso. El Decreto N° 662 sirve de guía señalando como desglosar un tratamiento: tipo de datos (y si hay sensibles), titulares, finalidad, origen, base de licitud, destinatarios, transferencias al extranjero, plazos de supresión y decisiones automatizadas (Por ejemplo, en remuneraciones habrá datos de identificación y bancarios de los trabajadores, cuya base será el contrato y la ley, y que llegarán al banco y al proveedor del software).

• Revisa lo levantado. Para detectar datos que no se necesitan, proveedores sin contrato de encargo o información guardada sin fecha de término.

• Mantén el registro al día. El RAT es un documento vivo y en constante modificación. Cada sistema, proveedor o proceso nuevo debe quedar reflejado, y es sano revisarlo completo al menos una vez al año.

Por qué vale la pena contar con un RAT

La ley crea, entre otras cosas, a la Agencia de Protección de Datos Personales, con facultades para fiscalizar y sancionar, y contempla multas de hasta 5.000, 10.000 o 20.000 UTM según la gravedad de la infracción. Un RAT bien hecho permitirá encontrar los problemas antes que la autoridad. También ayuda en el día a día: si una persona, como titular de sus datos personales, pide ejercer sus derechos, como acceder a su información o eliminar sus datos personales de la empresa, sabrás dónde buscarla rápidamente, y si hay una filtración, podrás saber rápidamente qué datos y qué personas se vieron afectados.

Hoy la vigencia de esta modificación legal está fijada para el 1 de diciembre de 2026, aunque el Congreso tramita un proyecto, ya aprobado por el Senado, que la trasladaría al 15 de octubre de 2027. Con o sin ese año extra, nuestra recomendación es empezar ahora y partir con el levantamiento de los procesos que traten la mayor cantidad de tratamiento de datos (ejemplo: contratación de personal). Con esto, es probable que ese primer ejercicio les enseñe bastante sobre cómo funciona su propia empresa y como levantar los siguientes tratamientos.  Como dice el dicho “sin prisa, pero sin pausa”.